Attacco informatico in corso? 5 errori da evitare nei primi 60 minuti

Succede sempre così: un file che non si apre, un gestionale che si blocca, un messaggio strano sullo schermo, magari una richiesta di riscatto. Nei primi minuti prevale lo shock. Poi arriva la domanda: “E adesso cosa facciamo?”

Quando un attacco informatico è in corso, la differenza tra un danno contenuto e una crisi seria si gioca spesso nei primi 60 minuti. Non tanto per le azioni “eroiche”, quanto per gli errori evitabili. In quella fase l’istinto porta a fare mosse rapide, ma non sempre corrette. E alcune decisioni prese in fretta possono peggiorare la situazione, compromettere prove digitali o amplificare il danno.

Vediamo i cinque errori più comuni che un’azienda dovrebbe evitare quando sospetta un attacco ransomware o una violazione informatica.

1. Spegnere tutto senza valutare la situazione

Il primo impulso è staccare la corrente, spegnere server e PC, scollegare tutto. In alcuni casi isolare i sistemi è corretto, ma farlo in modo disordinato può creare più problemi che benefici. Spegnere un server compromesso, ad esempio, può cancellare informazioni preziose per capire come è avvenuta l’intrusione. Inoltre, se l’attacco è già propagato, lo spegnimento improvviso non lo elimina: lo rimanda solo al riavvio.

La cosa giusta da fare è isolare in modo controllato i dispositivi sospetti dalla rete, evitando che il malware si diffonda ulteriormente, ma mantenendo la possibilità di analizzare l’accaduto.

2. Continuare a lavorare come se nulla fosse

All’estremo opposto c’è chi decide di ignorare i segnali, sperando che si tratti di un malfunzionamento temporaneo. Intanto i dipendenti continuano a utilizzare file condivisi, accedere al server o inviare email. Se l’attacco è reale, questo comportamento può facilitare la diffusione del malware e compromettere ulteriormente dati e sistemi. Un attacco ransomware, ad esempio, può cifrare progressivamente le cartelle condivise mentre gli utenti sono ancora collegati.

In presenza di segnali chiari (rallentamenti anomali, file rinominati, richieste di riscatto, accessi sospetti) è necessario attivare subito una procedura di gestione dell’incidente.

3. Cercare soluzioni “fai da te” online

Digitare su Google il messaggio dell’attacco e seguire il primo tutorial trovato è una reazione comprensibile, ma rischiosa: ogni attacco ha caratteristiche diverse e applicare procedure generiche può aggravare la situazione. Installare tool non verificati, modificare configurazioni di rete o tentare decrittazioni improvvisate può compromettere l’integrità dei dati o rendere più difficile un eventuale recupero professionale.

In quei momenti serve lucidità e competenza tecnica. Un intervento strutturato permette di contenere l’impatto e di documentare correttamente l’incidente, aspetto cruciale anche dal punto di vista normativo (si pensi agli obblighi di notifica previsti dal GDPR in caso di data breach).

4. Non informare subito le figure chiave

Un altro errore frequente è gestire la situazione in modo isolato. L’IT prova a risolvere da solo, la direzione viene informata tardi, e intanto si perde tempo prezioso. In caso di attacco informatico aziendale, è fondamentale attivare immediatamente una catena di comunicazione interna chiara: direzione, responsabile IT, eventuale DPO e consulenti esterni devono essere coinvolti fin dall’inizio.

Questo consente di prendere decisioni coordinate, valutare l’impatto sui dati personali e predisporre eventuali comunicazioni obbligatorie verso autorità o clienti.

Pagare il riscatto senza una valutazione strategica

Quando compare una richiesta di pagamento, la tentazione è risolvere tutto il prima possibile. Ma pagare un riscatto non garantisce il recupero dei dati e può esporre l’azienda a ulteriori ricatti. Tra l’altro in alcuni casi il pagamento può avere implicazioni legali o reputazionali. La decisione non dovrebbe mai essere presa d’impulso, ma dopo un’analisi tecnica e legale approfondita.

Spesso aziende che dispongono di backup strutturati e piani di disaster recovery ben progettati riescono a ripartire senza cedere a richieste esterne.

La vera differenza si fa prima, non durante

La verità è che i primi 60 minuti sono decisivi perché riflettono quanto l’azienda fosse preparata prima dell’attacco. Se esiste un piano di risposta agli incidenti, se il personale sa come comportarsi, se l’infrastruttura è monitorata e segmentata le scelte diventano più rapide e meno emotive. Prevenzione significa backup verificati, monitoraggio costante, segmentazione della rete, formazione del personale e simulazioni di attacco. Non eliminano il rischio, ma riducono drasticamente l’impatto.

Pratical Group supporta le aziende nella prevenzione, nel monitoraggio e nella gestione degli incidenti informatici, costruendo strategie di sicurezza su misura. Non si tratta solo di tecnologia, ma di metodo, procedure e capacità di intervenire nei momenti critici. Se vuoi capire quanto la tua azienda sia pronta ad affrontare un attacco informatico, il momento giusto per verificarlo è adesso.